‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים מ-Symantec Messaging Gateway

נתמך ב:

Google secops SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Symantec Messaging Gateway ב-Google Security Operations באמצעות Bindplane.

Symantec Messaging Gateway הוא שער אבטחה לאימייל שמספק סינון ספאם, סינון תוכנות זדוניות וסינון תוכן לאימייל ארגוני. הוא תומך בהעברה מקורית של syslog לאירועים של עיבוד אימייל, לאכיפת מדיניות וליומנים של תקינות המערכת.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין מכשיר Symantec Messaging Gateway
אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישה עם הרשאות למסוף הניהול של Symantec Messaging Gateway

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תתקינו את Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```

השירות אמור להופיע עם הערך RUNNING.

התקנה של Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ התצורה

‫Linux:

sudo nano /etc/bindplane-agent/config.yaml

‫Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/symantec_mail:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SYMANTEC_MAIL
        raw_log_field: body

service:
    pipelines:
        logs/symantec_mail_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/symantec_mail

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ביציאה 1514 ללא הרשאת root)
הגדרות של הכלי לייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
  - ‫Linux: /etc/bindplane-agent/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- endpoint: Regional endpoint URL:
  - ארה"ב: malachiteingestion-pa.googleapis.com
  - אירופה: europe-malachiteingestion-pa.googleapis.com
  - אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
  - רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

אחרי שמסיימים לערוך, שומרים את הקובץ:
- ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

מריצים את הפקודה הבאה:

sudo systemctl restart observiq-otel-collector

מוודאים שהשירות פועל:

sudo systemctl status observiq-otel-collector

בודקים אם יש שגיאות ביומנים:

sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

בוחרים אחת מהאפשרויות האלה:
- שורת פקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```

בודקים אם יש שגיאות ביומנים:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-Symantec Messaging Gateway

נכנסים למסוף הניהול של Symantec Messaging Gateway.
עוברים אל Administration > Settings > Logs (ניהול > הגדרות > יומנים).
לוחצים על הכרטיסייה מרחוק.
מפעילים את Syslogs.
מגדירים את שרת ה-syslog המרוחק:
- מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
- יציאה: מזינים 514.
לוחצים על Save.

טבלת מיפוי UDM

שדה היומן	מיפוי UDM	לוגיקה
file.fileNameOrURL	about.file.full_path	הערך הועתק ישירות עבור FILE_INCLUDED
file.md5	about.file.md5	הערך הועתק ישירות עבור FILE_INCLUDED
file.fileType	about.file.mime_type	הערך הועתק ישירות עבור FILE_INCLUDED
file.sha256	about.file.sha256	הערך הועתק ישירות עבור FILE_INCLUDED
file.fileSize	about.file.size	הומר ל-uinteger עבור FILE_INCLUDED
file.urlCategories, file.urlRiskScore	about.labels	תוויות שמוזגו עבור LINK_INCLUDED
file.fileNameOrURL	about.url	הערך הועתק ישירות עבור LINK_INCLUDED
emailInfo.longMsgRef, emailInfo.messageId, emailInfo.isOutbound, emailInfo.HELOString, emailInfo.authResults.raw_header, emailInfo.authResults.dkim, emailInfo.authResults.dkim_signing_domain, emailInfo.authResults.spf, emailInfo.authResults.dmarc, emailInfo.authResults.dmarc_policy, emailInfo.authResults.dmarc_override_action, emailInfo.tlsInfo.tlsAdvertised, emailInfo.tlsInfo.tlsUsed, emailInfo.tlsInfo.tlsKeyLength, emailInfo.tlsInfo.tlsFallbackReason, emailInfo.tlsInfo.tlsForwardSecrecy, emailInfo.tlsInfo.tlsNegotiationFailed, emailInfo.messageSize, emailInfo.avQuarantinePenId, emailInfo.rawHeaderFrom, emailInfo.headerReplyTo, emailInfo.newDomainAge, emailInfo.timeInCynicSandboxMs, incidents	additional.fields	מיזוג כתוויות
emailInfo.mailProcessingStartTime, @timestamp	metadata.event_timestamp	הערך מומר מ-mailProcessingStartTime אם הוא קיים, אחרת מ-‎ @timestamp
	metadata.event_type	הערך הוא EMAIL_TRANSACTION אם email_from_present ו-email_to_present, אחרת NETWORK_CONNECTION אם has_principal ו-has_target, אחרת USER_UNCATEGORIZED אם has_user, אחרת STATUS_UPDATE אם has_principal, אחרת GENERIC_EVENT
emailInfo.xMsgRef	metadata.product_log_id	הערך הועתק ישירות
emailInfo.headerFrom	network.email.from	הערך מועתק ישירות אם הוא תואם לדפוס של כתובת אימייל
emailInfo.subject	network.email.subject	הערך הועתק ישירות
emailInfo.envTo, emailInfo.headerTo	network.email.to	מוזג מ-envTo ומ-headerTo אם יש התאמה לתבנית אימייל
emailInfo.tlsInfo.tlsCipher	network.tls.cipher	הערך הועתק ישירות
emailInfo.senderMailserver	network.tls.client.server_name	הערך הועתק ישירות
emailInfo.tlsInfo.tlsPolicy	network.tls.version	הערך הועתק ישירות
emailInfo.tlsInfo.tlsProtocol	network.tls.version_protocol	הערך הועתק ישירות
emailInfo.senderMailserver	principal.hostname	הערך הועתק ישירות
emailInfo.senderIp	principal.ip	הערך הועתק ישירות
emailInfo.country	principal.location.country_or_region	הערך הועתק ישירות
emailInfo.envFrom	principal.user.email_addresses	הערך הועתק ישירות
	metadata.product_name	הגדרה כ-SYMANTEC_MAIL
	metadata.vendor_name	הגדרה כ-SYMANTEC_MAIL
`hostname`	`event.idm.read_only_udm.principal.hostname` וגם `event.idm.read_only_udm.principal.asset.hostname`	מופה מיומן השינויים
`process`	`event.idm.read_only_udm.principal.process.file.names`	מופה מיומן השינויים
`pid`	`event.idm.read_only_udm.principal.process.pid`	מופה מיומן השינויים
`tag`	`event.idm.read_only_udm.metadata.product_event_type`	מופה מיומן השינויים
`loglevel`	`event.idm.read_only_udm.security_result.severity`	מופה מיומן השינויים
`log_id`	`event.idm.read_only_udm.metadata.product_log_id`	מופה מיומן השינויים
`internal_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ruleset`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ttl`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`source`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`allow_redirect`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`transaction_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`component`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`msg_code`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`url`	`event.idm.read_only_udm.target.url`	מופה מיומן השינויים
`status`	`event.idm.read_only_udm.network.http.response_code`	מופה מיומן השינויים
`description`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`priority`	`event.idm.read_only_udm.metadata.ingestion_labels`	מופה מיומן השינויים
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	מופה מיומן השינויים
emailInfo.longMsgRef", "emailInfo.messageId", "emailInfo.isOutbound", "emailInfo.HELOString", "emailInfo.authResults.raw_header", "emailInfo.authResults.dkim", "emailInfo.authResults.dkim_signing_domain", "emailInfo.authResults.spf", "emailInfo.authResults.dmarc", "emailInfo.authResults.dmarc_policy", "emailInfo.authResults.dmarc_override_action", "emailInfo.tlsInfo.tlsAdvertised", "emailInfo.tlsInfo.tlsUsed", "emailInfo.tlsInfo.tlsKeyLength", "emailInfo.tlsInfo.tlsFallbackReason", "emailInfo.tlsInfo.tlsForwardSecrecy", "emailInfo.tlsInfo.tlsNegotiationFailed", "emailInfo.messageSize", "emailInfo.avQuarantinePenId", "emailInfo.rawHeaderFrom", "emailInfo.headerReplyTo", "emailInfo.newDomainAge", "emailInfo.timeInCynicSandboxMs", and "incidents	`additional.fields`	מופה מיומן השינויים

שנה רישום

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.